23

No meu site estou utilizando links normais HTTP, porém onde contém transação de dados, como em formulários, por exemplo, uso HTTPS que é de um certificado SSL compartilhado provido pelo meu servidor de hospedagem.

Não pretendo mantê-lo desta forma, logo já terei comprado um certificado SSL, mas por enquanto o site está misturado com HTTP e HTTPS somente em algumas páginas.

É errado misturar os dois em um site desta forma?

3 Respostas 3

13

De maneira geral não é problema. Claro que precisa fazer certo. Eu percebo que algumas pessoas não sabem bem que páginas devem ser criptografadas, e acabam criptografando o que não tem segredo e envia dados descriptografados. Aí é problema.

Também há alguma dificuldade se uma página segura carrega elementos não seguros, mas não parece ser o caso, isto inclui iframes então cuidado se a página insegura está dentro de um iframe contido em uma página segura.

Claro que pode ter algum problema específico em algum cenário dependendo do que está fazendo, mas é mais pelo cenário, não é o normal.

Como seu plano é criptografar tudo depois não há problemas em começar assim. Versões futuras de navegadores poderão começar indicar problemas, mas não ocorre agora. Mesmo isto não vai dificultar a navegação, apenas haverá uma indicação que está em uma página insegura. Para tudo tem solução. Só será problema o dia que obrigarem tudo ser criptografado, o que duvido que ocorra. Ainda assim o problema não será misturar páginas seguras e inseguras.

Coloquei no GitHub para referência futura.

11

Sim não é recomendado, e até final do ano o chrome não deixará o site ser acessado sem que o usuário assuma os riscos e clique em aceitar insegurança como pode ser visto neste link, para tal foi desenvolvido um certificado gratuito chamado Let's Encrypt, e hoje quase todas as hospedagem utilizam e com instalação gratuita, também é possível instalar em servidores LINUX de forma autônoma caso esteja utilizando algum servidor virtualizado de alguma plataforma.

Caso usa alguma hospedagem verifique se o mesmo já não possui o certificado. Mais sobre o certificado veja aqui

7

Se você usa SSL, mas não usa HSTS (e nem HPKP) você permite que um atacante faça um downgrade para HTTP.


Ter SSL, sem HSTS, é o mesmo que nada. Você não pode ligar o HSTS (e nem HKPK), isto quebrará o acesso as páginas em HTTP.

A ausência desses recurso permite que páginas HTTPS irem para HTTP. O atacante pode fazer isso e ignorar completamente o SSL.

Se você estiver carregando script ou img em HTTP e sem o uso do SRI e sem CSP, você permite que o atacante modifique o conteúdo. Mas, isso é irrelevante, porque ele já pode modificar toda a página. Considerando que o atacante faça algum DNS Poisoning ou ARP Poisoning, por exemplo.


Se você tiver um subdomínio seguro, como seguro.site.com, você tem que a segurar que este usa HSTS, no minimo.

Isso ainda tem outros problema. Por exemplo, você deve habilitar o "secure" no cookie, afim de que o cookie não vá para a área insegura, além de restringir ele para o subdomínio. Caso contrário, se torna possível roubar as sessões, quando o usuário entrar na área insegura. Isso ignorando a possibilidade um Session Fixation, definindo um cookie na área insegura para ser usado na área segura.


Fora privacidade. Agora, o provedor sabe qual site ele acessou e qual informação ele obteve, por estar em HTTP. Se estivesse em HTTPS (e com o HSTS Preload) somente o IP seria obtido, o nem mesmo garante qual site foi acessado.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .